In der Adressleiste muss ein einfaches & stehen, denn das erwartet der Server. Im HTML-Text muss ein & stehen, da das vor der Anzeige ja vorher vom Browser decodiert wird. Dazu ist es unerheblich, ob die Darstellung im <input ...>, <textarea ...> oder HTMLtextbereich stattfindet. Der Browser decodiert vorher.
danke!